Bibliotheek
Een CISO op afroep is een ervaren Chief Information Security Officer die een vast aantal dagen per maand meedraait, of voor de duur van een traject. Het takenpakket blijft ongewijzigd, van securitystrategie tot de rapportage aan directie en bestuur.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht en ligt de eindverantwoordelijkheid voor cyberrisico bij het bestuur. Dat bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering. Iemand moet die regie voeren, ook zonder fulltime CISO.
In sommige gevallen is een fulltime CISO simpelweg niet nodig. Een parttime CISO doet niet af aan de kwaliteit. Het is dezelfde rol, met minder uren en een scherpere focus.
Een CISO bepaalt welke risico's het zwaarst wegen, wie daarover besluit en waaruit blijkt dat maatregelen werken. Het werk daaronder is herkenbaar en omvat securitystrategie, risicoanalyses, beleid, governance, leveranciersrisico's, audits, incidentvoorbereiding en rapportage aan directie en bestuur. Weinig daarvan is nieuw voor een IT-manager. Het verschil zit in de samenhang, en in de vraag wie ervoor aanspreekbaar is.
Bij nieuwe klanten treffen wij zelden een gebrek aan maatregelen aan. Er is gepentest, er draait monitoring, er ligt beleid en IT werkt hard aan verbeteringen. Wat ontbreekt is de rangorde. Niemand kan zeggen welke drie dingen het eerst moeten en waarom.
De Cyberbeveiligingswet is de Nederlandse implementatie van NIS2. Organisaties die eronder vallen krijgen verplichtingen rond registratie, zorgplicht, meldplicht, risicobeheersing, bestuur en toezicht. De zwaarste verschuiving zit in de bestuurlijke laag, want het bestuur keurt de maatregelen goed en houdt toezicht op de uitvoering.
Een stuurgroep volstaat daarmee niet meer. Een bestuurder die een maatregelenpakket goedkeurt, moet kunnen uitleggen waarom dat pakket volstaat. Daarvoor heeft hij een risicobeeld nodig dat hij zelf kan wegen.
Voor een grote organisatie is een vaste CISO de logische keuze. Voor middelgrote organisaties ligt het lastiger, omdat de verantwoordelijkheid er wel is, maar de hoeveelheid werk niet altijd een fulltime positie vereist. IT kan veel dragen, maar zelden bestuur, compliance, dreigingsbeeld, leveranciersrisico's, auditvragen en strategie tegelijk.
Wetgeving is de meest voorkomende aanleiding. Een organisatie valt onder de Cyberbeveiligingswet, of verwacht daaronder te vallen, en merkt dat de vragen bestuurlijk worden in plaats van technisch.
Daarnaast speelt bewijsdruk van buiten. Auditors, klanten, verzekeraars en toezichthouders vragen niet langer of er beleid is, maar of het wordt uitgevoerd. Dat bewijs bestaat uit risicoanalyses, maatregelen, rapportages, incidentprocessen en verbeterplannen. Daarbij hebben ISO 27001, DORA en de AVG elk hun eigen eisen.
Verandering is de derde reden. Groei, een fusie, een migratie naar cloud of een OT-omgeving die aan het bedrijfsnetwerk wordt gekoppeld verschuift het risicoprofiel sneller dan de interne organisatie kan bijhouden. Ervaring, snelheid en flexibiliteit op afroep zijn dan zeer gewenst.
De eindverantwoordelijkheid van het bestuur gaat niet mee over. Die is wettelijk belegd en blijft binnen de organisatie. Dat bepaalt hoe een traject wordt ingericht, want advies zonder besluit verandert niets.
De CISO vervangt de IT-organisatie niet. De CISO stelt de vraag, IT voert uit en het bestuur besluit. Loopt die driehoek door elkaar, dan ontstaat verantwoordelijkheid zonder mandaat.
DeepBlue Security & Intelligence zet binnen CISO as a Service uitsluitend senior mensen in. Dat is een specialist die zonder problemen en efficiënt in dezelfde week met een bestuurder, een auditor en een systeembeheerder kan schakelen.
Wij beginnen met een nulmeting, een risicoanalyse of een volwassenheidsbeeld, afhankelijk van wat er al ligt. Daarna volgen prioritering, inrichting van governance, de directierapportage en de begeleiding van verbetermaatregelen. Het tempo hangt af van wat het bestuur binnenkort moet kunnen besluiten.
Een vast rapportageritme zorgt ervoor dat cyberrisico's structureel op de bestuurstafel komen. Daardoor ontstaat besluitvorming op basis van trend, voortgang en onderbouwing, niet alleen naar aanleiding van een incident. Wanneer bestuur en directie ieder kwartaal hetzelfde overzicht krijgen, kunnen zij betere vragen stellen en gerichter bijsturen.
Toegang tot senior expertise zonder vaste aanstelling wordt het vaakst genoemd. Wij vinden onafhankelijkheid zwaarder wegen. Een externe CISO beoordeelt bestaande keuzes, leveranciers en prioriteiten zonder belang bij de uitkomst.
Snelheid telt ook. Het werven van een ervaren CISO kost maanden, terwijl een auditvraag of een incident zich niets van die doorlooptijd aantrekt. De inzet schaalt bovendien mee. Een dag per maand volstaat vaak voor prioritering en rapportage, en rond een audit, fusie of pentestprogramma is meer nodig.
Beleid krijgt pas waarde zodra het getoetst wordt. Wij verbinden plannen daarom aan technische validatie, logging, incidentvoorbereiding, leveranciersbeoordelingen en concrete verbeteracties. Penetratietesten stellen vast of maatregelen standhouden onder realistische aanvalscondities, en compliance en governance leggen vast waarmee een bestuursbesluit aantoonbaar wordt.
Drie vragen laten zien of die vertaling is gelukt. Welke risico's wegen voor deze organisatie het zwaarst? Wie heeft daarover besloten? Waaruit blijkt dat de maatregelen werken?
Blijft een van die drie onbeantwoord, dan is er wel beleid en geen regie. Bij complexe IT- en OT-omgevingen valt dat het snelst op. Bestuurders vertrouwen daar op een risicobeeld dat zij niet zelf kunnen controleren, en technische teams wachten op prioriteiten die niemand stelt.
CISO as a Service past bij organisaties die cyberrisico bestuurlijk moeten beheersen zonder dat een fulltime CISO te rechtvaardigen is. De rol levert regie, duiding en voortgang wanneer de druk oploopt vanuit wetgeving, klanten, auditors of dreiging.
De grens blijft dezelfde. Wij adviseren, structureren en rapporteren, en het besluit blijft bij het bestuur. Wat de rol daaraan toevoegt, is dat het bestuur dat besluit onderbouwd kan nemen.
Cyberbeveiligingswet, Staatsblad 2026, 187 | NCTV, Wetten en regelgeving Cyberbeveiligingswet | NCSC, Cbw en Wwke vanaf 15 augustus 2026 van kracht | Richtlijn (EU) 2022/2555, NIS2 | Verordening (EU) 2022/2554, DORA | ISO/IEC 27001, Information security management systems
Laatst inhoudelijk gecontroleerd: 4 september 2026.
Bespreek een securityvraagstuk, actueel risico of complexe IT- of OT-omgeving met een van onze senior specialisten. Het eerste gesprek richt zich op de technische context, operationele randvoorwaarden en de meest passende vervolgstappen.
Geen mailinglijsten of geautomatiseerde salesopvolgingInformatie wordt vertrouwelijk behandeldKan het niet wachten?
Bel ons op +31 (0) 70 290 6 290
of stuur een email naar info@deepbluesecurity.nl
